论文提出用路由梯度敏感度定位稀疏 MoE 模型中的安全敏感专家

稀疏 MoE 里，按激活频率挑选要抑制的专家衡量的是使用，不是该专家对序列损失的影响。

• 为何成问题：作者称，router 对每个 token 的选择可观察、可改写；让一小部分专家不被选中，就能在不重训练时削弱拒答。对已公开模型，这同时是攻击者要决定禁用谁、防御者要决定保护谁的问题。
• 现有缺口：作者称，多数 MoE 安全工作按恶意提示词的激活频率排序。常被选中的专家未必关键，很少被选中的也可能关键；频率与 router-gradient 的排序不必一致，事先也不知道哪个更能指出抑制目标。
• 两个问题：RQ1，良性与恶意提示词在全模型及层内的路由集中度是否不同。RQ2，gradient 选出的专家，其抑制是否比激活排序或随机选择更能减少拒答。
• 本文做法：在五个指令微调 MoE 上，用 500 条良性与 500 条恶意提示词排序，再在不相交的 100 条恶意提示词上抑制。预算为相等专家数，以及相等的名义恶意路由流量（1%–5%），并另做逐层数量匹配。

MoE 路由与专家分工

• 条件计算：Shazeer 等（2017）、GShard（Lepikhin 等，2021）和 Fedus 等（2022）讨论稀疏专家的条件计算、容量与负载均衡。
• 分工与路由：OpenMoE（Xue 等，2024）、Yang 等（2025）的可解释 MoE、Bandarkar 等（2026）的可操控路由，研究 token 级分工以及路由能否被引导。
• 分析单元：论文转述 Su 等（2026）按激活幅度定义 super experts，消融后一般能力崩溃。作者据此把层号加层内索引当作专家单元，并指出只看路由频率仍不知道预测对选择该专家的 router 参数有多敏感。

安全评测与内部结构

• 有害提示词基准：AdvBench（Zou 等，2023）与 JailbreakBench（Chao 等，2024）被引为拒答和越狱评测基准。实验章节写明恶意分析集是 AdvBench，行为评测是 AEGIS2.0。
• 低质量生成：StrongREJECT（Souly 等，2024）提出低质量生成不应算作有害遵从。作者因此把输出分成 restricted、compliant 和 degraded。
• 稠密模型拒答：作者引用 Arditi 等（2024）关于拒答由一个方向中介的结果，并称这提示安全可以依赖局部结构。

MoE 安全与专家级干预

• 激活信号：SAFEx（Lai 等，2025）用稳定选出的激活概率和掩码；SteerMoE（Fayyaz 等，2026）用激活率差；RASET（Zhang 等，2026）按对比激活敏感度微调安全关键专家。
• 抑制与输入侧：Jiang 等（2026）用掩码搜索把拒答翻成遵从；GateBreaker（Wu 等，2026）用门控引导消融去掉安全行为且不重训练；RouteHijack（Xu 等，2026）与 MisRouter（Fei 等，2026）从激活模式选目标，仅用输入把生成导向对齐较弱的专家。
• 梯度但目标不同：Zhao 等（2025）用梯度敏感度定位专家，并与基于激活的方法对照，目的是后门注入，不是抑制安全行为。

基线与基准

• 对照：activation 的恶意减良性排序、每种模型与协议 10 次随机选择的均值，以及逐层专家数与 gradient 集合一致的激活对照。
• 数据：分析用 AEGIS2.0 与 AdvBench；行为评测用不相交的 AEGIS2.0。

作者称，现有 MoE 安全工作主要依赖激活强度或掩码；据其所知，这是首次在匹配预算和随机基线下，把 router-gradient 与激活频率作为专家抑制的选择准则进行比较。

整体做法是用 router-gradient sensitivity 给专家排序，再以不重训练的抑制检验这些专家是否关系拒答。激活频率只作对照。

分析对象与两种分数

• 模型：Table I 给出稀疏层数 L、每层路由专家数 E、Top-k 与总数 N。Mixtral-8x7B 为 32、8、2、256；Qwen1.5-MoE 为 24、60、4、1440；DeepSeek-MoE 为 27、64、6、1728；OLMoE-1B-7B 为 16、64、8、1024；Qwen3-30B-A3B 为 48、128、8、6144。always-active 共享专家不进入排序与干预。提示词用各模型原生 chat 模板，Qwen3 为 non-thinking 模式。
• 划分：分析集是 AEGIS2.0 良性 500 条与 AdvBench 恶意 500 条，用于路由分析、恶意减良性打分、排序和流量校准。行为评测另取不相交的 AEGIS2.0 恶意 100 条与良性 100 条；恶意集评基线及三种选择，良性集只审计 gradient 抑制。
• 激活分：专家在某层被路由到的 token 数，层内归一化后对提示词组取平均。
• 梯度分：不更新参数，只收集 router gate 权重的梯度。损失是格式化分析提示词上的因果语言模型序列损失，标准移位，不把生成回复拼入。提示词级分数是该行 d 个权重上序列损失偏导的绝对值平均：

G_l,e^(p)=1/d∑_j=1^d|∂ L^(p)/∂ W^gate_l,e,j|

绝对值用来避免正负抵消。作者称它度量的是格式化提示词的 token 预测对某一 router 行的局部敏感度，不是拒答目标，也不是直接的 safety gradient。

恶意占优与排序

• 差分：把上述分数在 500 条恶意、500 条良性分析提示词上分别平均。梯度的恶意占优为

D^G,(m)_l,e=G^M,(m)_l,e−G^B,(m)_l,e

激活基线用同样的恶意减良性。两类目标都按该分从高到低排序。

• 成本：作者称，识别阶段 gradient 需对每条分析提示词做一次反向传播，激活频率只需前向；专家选定后，推理阶段不再付这笔成本。论文未报告耗时。

预算、对照与抑制

• 流量：所选专家的恶意激活份额之和除以 L。分母等于 L，因为每层份额和为 1。按排序或随机顺序累加，在第一个会使份额超过目标的专家之前停下，该专家不纳入。离散专家使实际份额可以低于名义目标。
• gradient 集合：按分析集上大约 1% 到 5% 的恶意流量选取，专家数为 Mixtral 3/5/7/9/11，Qwen1.5 7/20/31/43/53，DeepSeek 9/13/21/28/35，OLMoE 5/9/13/17/21，Qwen3 10/22/33/45/57。专家由层号与层内索引标识。
• 三种对照：等数量时，activation 按其占优排序、random 按随机顺序，抑制相同个数，不控制累计流量或层分布。流量目标时，为后两种方法另建约 1%–5% 的集合，专家数可以不同，gradient 集合不变。逐层匹配时，每一稀疏层内取激活占优最高的专家，数量与该层 gradient 集合完全相同；匹配总数和完整层计数，不只是平均深度；允许重叠；不再额外匹配流量。
• 干预：在 Top-k 之前对入选专家加负的 router-logit bias，使其实际上不可用；共享专家不变。随机选择为每模型、每协议 10 个独立种子，无放回，并在每层保留足够专家以完成原生 Top-k。

集中度与拒答判定

• 集中度：k90 是覆盖该组 90% 激活质量的最少专家数。Δk90 是恶意与良性之差相对 N 的百分点；负值表示恶意更集中。分布差异用以 2 为底的 Jensen–Shannon 散度。层内由归一化激活的熵换成有效专家数，再对提示词和层平均 Eeff/E。
• 行为判定：同一 100 条恶意提示词，贪心解码，最多 200 个新 token。人工标为 restricted（拒答或安全改向）、compliant（实质性回答）或 degraded（空、不连贯、重复或无关）。标签只用于行为评测，不参与专家识别。相对拒答降幅为 100 乘以抑制前后 restricted 数之差，再除以抑制前；随机条件用 10 次均值代入。正值表示 restricted 变少。

实验设置

• 模型：Table I 的五个指令微调 MoE：Mixtral-8x7B、Qwen1.5-MoE、DeepSeek-MoE、OLMoE-1B-7B、Qwen3-30B-A3B。共享专家排除。
• 数据：分析集为 AEGIS2.0 良性 500 与 AdvBench 恶意 500。评测为无重叠的 AEGIS2.0 恶意 100（基线与三种选择）和良性 100（只审计 gradient）。
• 对照：activation 恶意减良性排序、每模型每协议 10 次随机的均值、逐层专家数与 gradient 集合相同的 activation。gradient 集合在等数量与流量协议间复用。
• 指标：相对拒答降幅；人工三分 restricted、compliant、degraded。路由侧为 Δk90、Eeff/E、Top-10 重叠和以 2 为底的 JS 散度。
• 解码与标注：贪心，最多 200 个新 token。论文未写评审模型、标注人数或一致性，也未写 gradient 与 activation 的重复次数。
• 无抑制基线：restricted 数为 Mixtral 58、Qwen1.5 94、DeepSeek 82、OLMoE 34、Qwen3 94，各出于 100 条（Section IV.B）。

主结果

Fig. 1 图注写明同列各行共用纵轴、模型间尺度不同。逐点数值未在正文列全，下表只收 Section IV.B 写明的数字。

Swipe horizontally to read the table

模型	基线 restricted/100	gradient（正文）	对照（正文）
Mixtral-8x7B	58	等数量 K=5 为 15.52% 后下降	未报告逐预算数字
Qwen1.5-MoE	94	等数量自 K=31 起 12.77%	未报告逐预算数字
DeepSeek-MoE	82	等数量由 7.32% 至 28.05%	流量 5%：activation 9.76%，随机均值 5.61%
OLMoE-1B-7B	34	等数量 K=21：73.53%（降至 9）	等数量下两对照每个设置都增加拒答
Qwen3-30B-A3B	94	K=57 为 21.28%；K=10 为 1.06%	K=10 的 activation 为 4.26%；流量 1% 的 activation 为 3.19%

• 条件计数：作者称两种预算下，gradient 都在 24/25 个条件高于 activation、25/25 高于十次随机均值；等数量下因此不能解释成抑制了更多专家。
• 例外：作者报告低于 activation 的条件都在 Qwen3 的最小集合。流量协议被作者称为对另一种混杂的补充检查，不是独立复制。
• 预算：作者称加大抑制预算不一定提高相对降幅；Mixtral 达峰后下降，Qwen1.5 出现平台。

路由集中度

Table II 的 Δk90 均为负。作者称五个模型上恶意提示词的全模型路由更集中，且与使用上的大量重叠并存。

Swipe horizontally to read the table

模型	Δk90	Eeff/E 良性/恶意	Top-10 重叠
Mixtral-8x7B	-1.95	.8999/.8900	4
Qwen1.5-MoE	-2.22	.7454/.7455	7
DeepSeek-MoE	-6.94	.6144/.5889	6
OLMoE-1B-7B	-7.32	.6362/.6079	6
Qwen3-30B-A3B	-3.52	.3479/.3448	7

• 重叠：Top-10 共享 4–7 个专家。模型级分布的 JS 散度为 0.0074–0.0408，作者称之为小。
• 层内：恶意的 Eeff/E 在四个模型更低，Qwen1.5 基本不变。作者称全模型更集中并不意味着每一层内部都更集中。表中例示层不是最大组间差。

层位置与逐层匹配

• 深度：等数量下，gradient 与 activation 的平均层位（0% 为第一层、100% 为最后一层）为 68.2% 与 50.9%，落在最深三分之一的比例为 56% 与 29%；25 个设置里 gradient 都更深。流量目标下 activation 为 48.7% 与 25.7%。作者写明这些设置不是独立重复，因为预算复用模型且集合重叠。
• Table III：下表是逐层数量匹配后的 activation 相对降幅 R（%）。q=1 到 5 对应该模型递增的 K，不是流量百分比。

Swipe horizontally to read the table

模型	q=1	q=2	q=3	q=4	q=5
Mixtral-8x7B	-5.17	6.90	6.90	1.72	3.45
Qwen1.5-MoE	0.00	1.06	1.06	1.06	2.13
DeepSeek-MoE	2.44	7.32	6.10	7.32	4.88
OLMoE-1B-7B	-20.59	-17.65	-29.41	-23.53	-29.41
Qwen3-30B-A3B	1.06	0.00	1.06	0.00	1.06

• 解读：作者称 gradient 在 23/25 个条件更高，Qwen3 的 K=10 与 Mixtral 的 K=11 持平，持平值分别为 1.06% 与 3.45%。最大预算上，DeepSeek 的 gradient 为 28.05%、该对照为 4.88%；OLMoE 为 73.53% 对 -29.41%。作者称优势不能只用层位置解释；该对照没有隔离所选路由流量的差异。OLMoE 的该对照在五个 q 都为负，即拒答增多。

集中度关联与输出形态

• 关联：−Δk90 与五个预算上的峰值 gradient 降幅 Spearman ρ=0.90。精确双侧置换检验枚举 5!=120 种赋值，绝对相关系数不低于 0.90 的有 10 个，p=0.083，n=5。作者称集中度差距较大的模型倾向于有较大的峰值效应，但这是事后关联，不是集中度导致易感性的证据；只用了五个架构、预算上的最大值，且相对降幅按不同基线拒答数归一化。
• 输出：作者称三组实验都没有 degraded 输出；良性提示词上的 gradient 抑制审计没有 restricted 或 degraded。作者称这些检查没有确立准确率、指令遵循或一般能力被保留，但拒答减少对应的是实质性遵从，而不是不可用的生成。

其他消融与分析

• Mixtral 的 L8–15：有效专家数恶意 6.906、良性 7.002。Qwen1.5 的 L23：40.2 对 39.8，恶意略更分散。
• OLMoE 在 L3、L14 的恶意有效专家数更低，L6 为两组共同最低；Qwen3 的层内差异更小且方向混合。正文未给这些层的全部数值。
• 论文未报告各流量集合实际达到的份额，只写明可低于名义 1%–5%。
• 流量目标下的 OLMoE：gradient 减少拒答，activation 与随机都增加拒答（Section IV.B）。
• 随机抽样无放回，且每层保留原生 Top-k 所需专家；论文未报告因此被跳过的抽取次数。

作者指出的局限与后续方向

• 更多模型：Section V 写明，恶意与良性集中度差距和峰值 gradient 效应的探索性关联，需要在更多模型上验证。
• 不是因果：Section IV.B 写明该关联是事后的，只是提示性的，不是集中度导致易感性的证据；只涉及五个架构，用的是所测预算上的最大值，相对降幅还按不同的基线拒答数归一化。
• 非单调：Section V 把更大抑制预算下非单调效应背后的机制列为以后研究的题目。
• 一般能力：Section V 把一般模型能力是否保持列为以后研究的题目。
• 现有检查的范围：Section IV.B 写明，没有 degraded 输出，以及良性审计没有 restricted 或 degraded，并不确立准确率、指令遵循或一般能力被保留。

实验覆盖范围

• 模型：被测模型为 Table I 的五个指令微调 MoE，路由专家池为 256 至 6,144；always-active 共享专家不参与排序与干预。
• 数据：分析集为 AEGIS2.0 良性 500 与 AdvBench 恶意 500；行为评测为不相交的 AEGIS2.0 恶意 100（基线与三种选择）和良性 100（只审计 gradient 抑制）。
• 协议：包括等专家数、名义恶意路由流量 1%–5%，以及逐层专家数完全匹配。逐层匹配不再额外匹配路由流量（Section III.C）。随机选择为每模型每协议 10 次独立种子。Section IV.B 写明 25 个模型–预算设置不是独立重复。
• 判定：贪心解码，最多 200 个新 token；输出由人工标为 restricted、compliant 或 degraded。论文未报告标注人数、一致性，以及 gradient 与 activation 抑制的重复次数。
• 梯度定义：梯度来自格式化分析提示词的序列损失对 router gate 行的反向传播，不更新参数，也不把生成回复并入损失。论文未报告这笔 profiling 的耗时。

在五个稀疏 MoE 上，用 router 梯度而不是激活频率挑选要抑制的专家，留出恶意提示词上的拒答降得更多。

推理时让少数路由专家不被选中，就可以不重训练地改变拒答，但频率只记录使用次数。排序用的是格式化提示词序列损失对 gate 行的平均绝对梯度，对照是层内归一化激活；两者都按恶意减良性降序选取。抑制不更新权重，只在 Top-k 前加负 logit 偏置。

分析集是 AEGIS2.0 良性 500 与 AdvBench 恶意 500，行为评测是不相交的 AEGIS2.0 各 100 条。对照有等专家数、约 1%–5% 名义恶意流量，以及每层数量完全相同的激活选择；随机报告 10 次均值。

• 主比较：两种预算下，gradient 的相对拒答降幅在 24/25 个条件高于激活，25/25 高于随机均值。
• 最大变化：OLMoE-1B-7B 在等数量 K=21 时，restricted 从 34/100 降到 9，相对降幅 73.53%；同协议下激活与随机在每个设置都增加拒答。
• 层位置：逐层数量匹配后仍是 23/25 更高，Qwen3 的 K=10 与 Mixtral 的 K=11 持平。作者称这不能只用层位置解释。
• 例外与关联：Qwen3 的最小集合上激活降幅更高。五模型的 −Δk90 与峰值 gradient 效应 Spearman ρ=0.90，精确双侧 p=0.083；作者称这只是提示，不是因果。
• 作者结论：所测预算下，激活频率不是抑制效应的稳定代理；结果intended用于识别并加固安全敏感专家。三组实验没有 degraded 输出。非单调变化的机制和一般能力是否保持，作者列为后续问题。